码迷,mamicode.com
首页 > 其他好文 > 详细

使用Burp和Hydra爆破服务-9.25

时间:2019-09-27 22:54:48      阅读:125      评论:0      收藏:0      [点我收藏+]

标签:表示   star   ref   tar   mys   length   int   字符串   load   

使用BP和Hydra爆破相关服务
Hydra:九头蛇,开源的功能强大的爆破工具,支持的服务很多,使用Hydra爆破C/S架构的服务。使用Bp爆破web登录窗口。
DVWA:web应用程序漏洞演练平台,开源,集成的常见web漏洞,使用PHP+mysql环境的支持;
 
爆破=爆破工具(bp+bydra)+字典(用户字典、密码字典)
字典:就是一些用户名或者口令(弱口令/使用)的集合
 
过程(brup爆破登录页面,知道账号):
step1:拦截数据包,登录页面的数据拦截下来,将拦截下来的数据发送到“intruder(ctrl+l)或者右键”,
step2: 进入“positions”,先点击“clear”去除不需要爆破的项,再去选择需要爆破值,点击“add”,列如:password=$123$,意味着要爆破password,在爆破的过程中典去替换“123”;
step3:进入“payloads”,在“payload options[simple list]”中添加密码字典,点击“load”找到密码字典所在的位置,加载进来。
step4:在“options”,设置爆破规则,如:线程、匹配规则、排除规则。
step5:在payload点击“start attack”,或者在菜单中“inttruder”下拉菜单中也可以启动
step6:爆破结束后,点击“Length”,对结果进行排序,放在前几排的的测试结果可能是正确的密码,把账号面密码拿来测试即可
 
 
如何快速定位爆破出来的正确结果?
    1.需要知道成功之后返回的字符串,如welcome
    2.将该字符添加在“options”中匹配规则“Grep-Match中,在“Results”中,添加的字符下面,有选中的payload就是正确的结果。
 
爆破密码和用户名:
step1同上
step2中添加user中的内容,选择“Cluster Bomb”的攻击方式
step3:在“Payload set”中选择1,“payload”中添加用户字典,选择2,添加密码字典,后续操作相同
 
 
使用Hydra爆破SSH/FTP等服务,
step1:hydra -h ---查看帮助信息,爆破单项(爆破密码)
            hydra -l  账号 - P 密码字典(password.txt)ftp://地址 --爆破ftp服务(--- 地址 ftp)
       -l  --表示知道爆破的账号
        -P --密码字典
step2:hydra -L user.txt -P password.txt  ssh://地址(爆破用户名和密码)
-L ---后跟用户字典
Target.txt
hydra -L login.txt -P pws.txt -M targets.txt  ssh

使用Burp和Hydra爆破服务-9.25

标签:表示   star   ref   tar   mys   length   int   字符串   load   

原文地址:https://www.cnblogs.com/yyhfirstblog/p/11600782.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!